OnRPG Утечка данных

В этой записи представлены адреса электронной почты, IP-адреса, пароли и имена пользователей. По результатам оценки пароли хранились в виде хешей MD5 с солью; старые и слабые пароли представляют риск. Неподтверждённые сведения о платёжных картах, банковских счетах, личных сообщениях, медицинских записях и дополнительные поля профиля не были включены в список категорий данных; сохранены только те поля, наличие которых подтверждается.

Сопоставление имён пользователей и адресов электронной почты может помочь связать игровые аккаунты с одним человеком. Сам по себе адрес электронной почты создаёт риск нежелательных сообщений; в сочетании с номером телефона, адресом, IP-адресом, датой рождения, паролем, идентификационным номером, фотографией или данными о личных предпочтениях он облегчает злоумышленнику подготовку сообщений, ориентированных на конкретного пользователя. Оценка риска учитывала этот совокупный эффект.

Подтверждённый масштаб утечки по состоянию на июль 2016 года составил 1,04 миллиона аккаунтов. Подтверждённые сведения были сохранены, а неподтверждённые, исключены. Инцидент не объединяли с наборами данных с похожими названиями, инцидентами той же компании за другие периоды или случаями ошибочного отнесения данных к компании.

Эта запись ограничивается доменом onrpg.com и не объединена с другими наборами игровых данных. Доменное имя, название компании и сведения об отрасли были сохранены в максимально узком и точном контексте. Там, где сохранялась неопределённость, флаги подтверждения или поля сайта были настроены соответствующим образом; поэтому пользователю не показывали неподтверждённые сведения об ответственности бренда.

В зоне риска могут быть бывшие игроки с аккаунтом OnRPG и люди, использующие одно и то же имя пользователя в разных играх. Пользователям, обнаружившим совпадение, также следует оценить состояние других аккаунтов, в которых они используют тот же адрес электронной почты, номер телефона, имя пользователя или шаблон пароля за пределами данного сервиса.

Если тот же пароль используется в игровом магазине, электронной почте или социальной сети, риск распространяется и на действующие аккаунты. Если ситуация связана с корпоративной почтой, детским аккаунтом, игровым сообществом, AI-сервисом с контентом для взрослых, покупками в розничных магазинах, общедоступными записями или вредоносным ПО, могут возрасти риски социальной инженерии и нарушения конфиденциальности. Сведения, которые выглядят верными, сами по себе не служат основанием для доверия.

Затронутым пользователям следует сменить пароль OnRPG, а также пароли всех игровых аккаунтов, электронной почты и социальных сетей, где используется тот же пароль. Если в записи есть поле пароля, необходимо сменить пароль во всех аккаунтах, где он повторяется; если поля пароля нет, внимание следует сосредоточить на рисках, связанных с электронной почтой, телефоном, поддельными уведомлениями, конфиденциальностью и установлением личности путём сопоставления данных.

Вместо перехода по ссылкам из сообщения следует вручную вводить адрес соответствующего сервиса или использовать запись в доверенном менеджере паролей. Не следует доверять сообщениям о доставке грузов, оповещениях об аккаунте, игровых наградах, поддержке, общедоступных записях, безопасности, предложениях работы или продлении подписки без проверки через независимый канал.

Для аккаунтов в играх и на форумах следует использовать уникальные пароли, указывать минимум сведений в профиле и выбирать разные имена пользователей. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профиля, повторяющиеся имена пользователей и устаревшие номера телефонов и адреса. Уникальный пароль для каждого сервиса и двухэтапная проверка, где она доступна, должны стать основным правилом.

Со стороны поставщиков услуг необходимы минимизация данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и готовность процессов уведомления пользователей. Старые игровые сообщества могут использоваться для повторных попыток входа с паролями даже спустя годы. Точное описание масштаба утечки, тоже часть работы по обеспечению безопасности; преувеличенные или неполные сведения могут побудить пользователя к неверным действиям.

Сначала пользователю следует проверить эту запись по своему адресу электронной почты. Если совпадение найдено, следует исходить из того, что поля имени пользователя, IP-адреса и пароля могут быть под угрозой, и удалить старые игровые пароли. Отсутствие совпадения не исключает полностью, что использовался другой адрес электронной почты или повторно использовался старый пароль; важные аккаунты также следует проверить.

Запись сохранила статус подтверждённой; проблемное слово и ошибка в указании отрасли в старом тексте были исправлены. В этой редакции поля данных были оставлены в виде канонических категорий на английском языке, видимое пользователю описание было написано на турецком языке с оригинальными формулировками, неподтверждённые поля не включались, а флаг чувствительности использовался только тогда, когда это было обосновано характером риска.